Der Microsoft-Patchday vom 14. Juli 2026 hat einen Rekord gebrochen, den niemand haben wollte: 622 geschlossene Sicherheitslücken an einem einzigen Dienstag. Die Zahl ist beeindruckend, aber sie ist nicht die Nachricht. Die Nachricht steckt in drei Einträgen, die es am selben Tag in den Katalog der aktiv ausgenutzten Schwachstellen der US-Behörde CISA geschafft haben – alle drei in Microsoft SharePoint Server, dem Dokumentenspeicher, in dem in vielen Firmen die halbe Aktenablage liegt.
Was passiert ist
Betroffen sind die selbst betriebenen SharePoint-Server, nicht SharePoint Online aus der Microsoft-Cloud. Angreifer verketten eine neue, ohne Anmeldung ausnutzbare Lücke mit älteren, längst bekannten Schwächen. Am Ende dieser Kette steht nicht ein einzelner kompromittierter Server, sondern der Diebstahl der sogenannten Machine Keys des darunterliegenden Webservers.
Diese Schlüssel sind der eigentliche Schaden. Mit ihnen lassen sich gültige Sitzungsdaten selbst herstellen. Ein Angreifer, der sie besitzt, braucht die Lücke nicht mehr: Er kann sich als angemeldeter Benutzer ausgeben, auch nachdem das Update eingespielt ist. Genau deshalb ist die Reihenfolge «Update einspielen, Haken setzen, weitergehen» in diesem Fall unvollständig.
Warum das für Schweizer KMU zählt
SharePoint gilt vielen als Ablage, nicht als exponierter Dienst. Praktisch steht er aber oft am Rand des Netzes, damit die Belegschaft von unterwegs auf Dokumente kommt. Damit ist er ein Server im Internet – mit allen Konsequenzen. Wer ihn im Sommer betrieben hat, ohne die Juli-Updates zeitnah einzuspielen, muss davon ausgehen, dass die Lücke nicht nur theoretisch offen stand.
Dazu kommt die zweite Lehre dieses Patchdays. In derselben Ausgabe steckten auch Zero-Days in den Active Directory Federation Services, also im Anmeldedienst selbst. Wer die Verzeichnisdienste kompromittiert, braucht keine einzelne Anwendung mehr zu knacken.
Vier Schritte, in dieser Reihenfolge
- Bestand klären. Läuft irgendwo ein selbst betriebener SharePoint Server, und ist er aus dem Internet erreichbar? Diese Frage beantwortet die Netzdokumentation, nicht das Gedächtnis.
- Updates einspielen. Für die aktiv ausgenutzten Lücken gilt: sofort, nicht im nächsten Wartungsfenster. Die US-Bundesbehörden bekamen drei Tage Frist.
- Machine Keys rotieren. Das ist der Schritt, der in den meisten Anleitungen fehlt. Ohne ihn bleibt ein gestohlener Schlüssel gültig – auch auf einem frisch gepatchten Server.
- Nachsehen, ob jemand da war. Webserver-Protokolle auf ungewöhnliche Anfragen prüfen, den Server auf nachträglich abgelegte Dateien untersuchen und die Anmeldeprotokolle der Verzeichnisdienste durchgehen.
Die unbequeme Frage dahinter
Ein Patchday mit 622 Lücken ist keine Ausnahme mehr, sondern die neue Grössenordnung. Kein Betrieb kann das monatlich vollständig prüfen, und keiner muss es. Entscheidend ist nicht, jede Lücke zu kennen, sondern zu wissen, welche Systeme nach aussen sprechen und wer sie im Blick hat. Eine Anwendung, für die sich niemand zuständig fühlt, ist gefährlicher als eine, deren Lücken bekannt sind.
Wir betreiben Kundeninfrastrukturen nach genau dieser Logik: Was aus dem Internet erreichbar ist, steht auf einer Liste mit Namen und Verantwortlichkeit, und Sicherheitsaktualisierungen für exponierte Dienste laufen ausserhalb des normalen Rhythmus.
Quellen: Microsoft Patch Tuesday vom 14. Juli 2026; Warnung und KEV-Aufnahme der CISA vom 14. Juli 2026.
